קובצי Source Map חשופים באפליקציית Bolt

Bolt מייצר פרויקטים מלאים (לרוב React/Next עם Supabase) ופריסה נפוצה היא Netlify.

מה הבעיה

קובצי ‎.map שמפורסמים לצד ה-JavaScript ומכילים את קוד המקור המלא - כולל הערות, נתיבי קבצים ולפעמים סודות שהוטמעו.

למה זה מסוכן

תוקף מקבל את קוד המקור המקורי במקום bundle מוקשה - כולל הלוגיקה העסקית, נקודות הקצה הפנימיות וכל מה שנשכח בהערות.

איפה זה מתוקן ב-Bolt

משתני סביבה מגדירים ב-Netlify (Site settings > Environment variables) וקוראים אותם רק בצד השרת - קידומת VITE_/NEXT_PUBLIC_ הופכת ערך לציבורי.

שלבי התיקון

• כבה יצירת source maps בפרודקשן (למשל build.sourcemap: false ב-Vite)
• אם צריך אותם לניטור שגיאות - העלה אותם ישירות לשירות הניטור, לא לאתר

ההנחיה להדביק ב-Bolt

העתק את ההנחיה הבאה לכלי שבנה את האפליקציה (באנגלית - כך הכלים עובדים הכי טוב):

Disable production source maps in the build config so no .map files are publicly served.

איך מוודאים שהתיקון עבד

סריקה חוזרת מבקשת את קובצי ה-.map לצד כל bundle ומוודאת שהם לא מוגשים.

עוד בנושא

• המדריך המלא: קובצי Source Map חשופים

• אבטחה ב-Bolt - כל הבדיקות

בדיקה חינם

רוצה לדעת אם האפליקציה שלך חשופה? סרוק בחינם ב-30 שניות וקבל ציון אבטחה + הוראות תיקון.